1. nmap扫端口扫到80和22端口2. ssh可以试试有没有弱密码或者空密码登录稍微尝试一下没有这个靶机重点不在这。3. 访问80端口网页没有什么功能点提示要登录4. 查找登录接口4.1. 法1burp抓包在target里面查看登录接口为/cdn-cgi/login4.2. 法2在页面源码中找5. 访问登录接口http://10.129.85.39/cdn-cgi/login/6. 游客登录进去以后每个界面都点一下account里面显示了当前账号的信息url里id值为27. 尝试越权将id值改为1访问到了admin的账户信息获取到了access id8. 访问uploads功能点需要admin权限9. 修改cookief12打开开发者工具点击storage将当前用户的cookie值改为admin用户的cookie值也就是刚刚获取到的admin的access id回车保存再次刷新界面就可以上传文件了10. 上传一个php反弹shell这里的文件上传没有做任何的限制和过滤可以任意上传。可以去github上下载这个php反弹shell的脚本下载地址https://github.com/pentestmonkey/php-reverse-shell下载下来以后要记得把脚本里的ip改成自己本地tun0网卡的ip端口可以自定义我设置的是1234端口上传成功11. 本地开启nc监听1234端口nc -lvvp 123412. 浏览器访问上传的shell的地址猜一下路径为/uploads/php-reverse-shell.php访问一下界面一直在转圈圈说明访问成功了13. 反弹成功执行一下whoami 和ls当前用户为www-data查看home目录有一个robert用户尝试切换到robert用户显示失败su命令需要一个交互式终端当前获取的是非交互式的shell14. 升级成交互式shellpython3 -c import pty;pty.spawn(/bin/bash) ^Z 按 CtrlZ stty raw -echo;fg export TERMxterm14.1. python3 -c import pty;pty.spawn(/bin/bash)pty伪终端Pseudo TerminalLinux 里 假装是一个终端 的设备pty.spawn(/bin/bash)给 bash分配一个伪终端让 bash 在伪终端里跑结果bash 以为自己在真终端里开始提供完整功能作业控制、tty14.2.^ZCtrlZ把当前 nc 会话挂起暂停退到后台目的把控制权还给你本地 Kali 的终端让本地终端接管屏幕注意此时会回到本地 shell 提示符14.3. stty raw -echo在你本地 Kali 终端执行stty raw把本地终端设为原始模式—— 本地终端不再自行处理按键把输入输出原样直通给远程 shell-echo关闭本地回显不再自己重复显示按键为什么必须否则本地终端会把回车转成\r\n、自动回显等导致远程 shell 的终端行为错乱按回车不换行、输入看不见14.4. fg把刚才挂起的 nc 任务恢复到前台现在远程 shell 接管屏幕而本地终端已经是 raw 模式两者 对齐 了14.5. export TERMxterm设置终端类型为 xterm让远程 shell 知道 我在哪种终端上vi、清屏、颜色、方向键才正常不设的话vi 可能报错、清屏变乱码此时就升级成功了14.6. 遇到的问题我最开始是先执行stty raw -echo然后回车以后再执行fg但是每次这样都会有问题输入export TERMxterm以后按任何键都没有反应了需要将两条命令拼一起stty raw -echo;fg这样才能成功至于是为什么我现在暂时还没搞懂15. 尝试切换用户发现需要密码登录不进去16. 切换目录cd /var/www/html/cdn-cgi/login lscd到网站的目录/var/www/html/cdn-cgi/login里面17. 找敏感信息看下有没有什么账号密码的cat * | grep -i passw*这里找到一个密码但是这个是网站admin用户的密码尝试用来登录robert用户发现不行18. 继续找查看一下db.php里面的内容cat dp.php找到了robert的账号密码robertM3g4C0rpUs3r!19. 切换到robert用户成功切换20. 拿到第一个flag切换到robert的家目录查看user.txt获取flag21. 提权21.1. 执行id命令发现robert在一个bugtracker组里21.2. 找所属用户组是 bugtracker的所有文件find /-group bugtracker 2/dev/null有一个二进制可执行文件21.3. 执行bugtracker随便输入一个aaa发现这个程序是将输入的内容拼接到/root/reports/后面然后通过cat指令查看内容21.4. 看程序权限ls -ls /usr/bin/bugtracker可以看到/usr/bin/bugtracker设置了 SUID 位文件属主是 root。属于 bugtracker 组的用户有权限执行这个程序一旦执行进程会临时以 root 身份运行。21.5. 在/tmp里面写文件echo /bin/sh cat chmod x catrobert 拥有/tmp目录的写权限。我们切换到/tmp自己创一个cat脚本文件这个脚本的功能是启动一个sh的shell。 因为bugtracker这个SUID程序内部调用cat的时候没有使用绝对路径程序会从PATH环境变量定义的目录中按从左到右的顺序查找cat。 只需要把这个/tmp路径放到PATH变量的最前面当bugtracker执行时就会优先找到我们在/tmp下伪造的cat脚本。 bugtracker带有root的SUID位所以这个伪造脚本会以root权限执行启动一个权限为root的shell。记得还要给这个cat脚本执行权限。21.6. 修改PATH变量echo $PATH export PATH/tmp:$PATH查看环境变量 PATH将/tmp加进去可以看到/tmp目录现在在第一个21.7. 再次执行bugstracker程序随便输入一个aaa然后就进入了sh的终端界面执行whoami可以看到当前身份为root提权成功21.8. 拿到第二个flag有一个小坑因为之前把tmp放到了PATH第一个现在执行cat命令执行的都是自己写的恶意脚本我说我咋cat不了文件内容......需要用绝对路径执行命令